# Un SBOM CycloneDX ou SPDX, sans rien ajouter à votre CI.

Source : https://libwatch.com/fonctionnalites/export-sbom

Fonctionnalité · SBOM

LibWatch connaît déjà chaque dépendance de vos projets. Il en tire une nomenclature logicielle lisible par machine, validée contre les schémas officiels, à télécharger en un clic.

[Générer un SBOM](https://app.libwatch.com/users/sign_up)

api-commandes-cyclonedx-sbom.json

```
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "symfony/http-kernel",
      "version": "6.4.1",
      "purl": "pkg:composer/symfony/http-kernel@6.4.1"
    }
  ]
}
```

Deux formats

## CycloneDX pour la sécurité, SPDX pour les licences

JSON
### CycloneDX 1.5

— Le format le plus demandé par les outils de sécurité.

— Importable dans OWASP Dependency-Track.

— Nom, version, registre et identifiant purl de chaque composant.

JSON
### SPDX 2.3

— Le standard de la Linux Foundation, orienté licences.

— Utile pour la conformité open source.

— Les mêmes composants, dans une autre structure.

En pratique

## De l'analyse au fichier

Le SBOM suit toujours la dernière analyse du projet.

### Ouvrez le projet

Le SBOM reprend sa dernière analyse terminée, ou une analyse précise.

### Choisissez le format

CycloneDX ou SPDX, en JSON.

### Téléchargez, ou interrogez-le par MCP

Le résumé du SBOM est aussi disponible pour vos assistants IA.

Autres exports

## Pour vos clients et vos audits

PDF

### Rapport imprimable

Une page par projet, à enregistrer en PDF pour un compte rendu.

CSV et JSON

### Données brutes

Pour vos tableurs et vos scripts.

Lien

### Partage public

Le score du projet et sa tendance, sans compte.

Questions fréquentes

## Sur les SBOM

### Le SBOM couvre-t-il les dépendances transitives ?

 Il reprend tout ce que le lockfile décrit. Avec un lockfile, les dépendances transitives sont incluses.

### Le SBOM suffit-il pour le CRA ?

 Non, pas à lui seul. Le CRA demande un SBOM lisible par machine, ce que sont CycloneDX et SPDX, mais aussi la gestion des vulnérabilités et une documentation technique dont le SBOM n'est qu'une pièce. Voir [ce que le CRA et NIS2 exigent](/fonctionnalites/conformite-cra-nis2).

### Puis-je l'importer dans Dependency-Track ?

 Oui. Le fichier CycloneDX 1.5 en JSON s'importe dans OWASP Dependency-Track comme tout SBOM CycloneDX.

## Votre SBOM vous attend après la première analyse.

[Essayer 14 jours](https://app.libwatch.com/users/sign_up)